# Pare-feu PME : FortiGate, Sophos XGS, WatchGuard ou UniFi ?

Source : https://cybercaribou.com/comparatifs/pare-feu-pme-comparatif · Cyber Caribou

> FortiGate, Sophos XGS, WatchGuard Firebox ou UniFi : licences, IPS, filtrage Web, SD-WAN, VPN et gestion infonuagique comparés pour les PME du Québec.

Le pare-feu est souvent le premier équipement de sécurité qu'une PME achète, et le dernier qu'on regarde ensuite. Il reste sur une tablette à côté du modem jusqu'au jour où arrive l'avis de renouvellement de licence, ou un bulletin de vulnérabilité qui touche justement son modèle.

Choisir entre Fortinet, Sophos, WatchGuard et Ubiquiti, ce n'est pas seulement comparer des boîtiers. C'est choisir un modèle de licence que vous paierez pendant cinq ans ou plus, une console que votre fournisseur TI devra maîtriser et un rythme de mises à jour à respecter.

- Nous avons comparé les modèles d'entrée de gamme destinés aux petits bureaux et aux succursales, à partir des pages officielles et de la documentation technique des fabricants, consultées en octobre 2026.
- Critères retenus : modèle de licence, prévention d'intrusion, filtrage Web, bac à sable, SD-WAN, VPN d'accès distant, gestion centralisée, prix publiés et écosystème.
- Quand un fabricant ne publie pas une information, nous écrivons « Non précisé » plutôt que de deviner. Les formules changent souvent : validez-les avec votre revendeur.
- Ce comparatif n'est pas commandité.

## Le vrai coût : le boîtier ou l'abonnement ?

Trois des quatre fabricants vendent le matériel accompagné d'abonnements, et ce sont ces abonnements qui débloquent les protections qui comptent le plus.

- **Fortinet** regroupe ses services FortiGuard en trois ensembles. L'ensemble ATP comprend notamment l'IPS, l'antivirus, le bac à sable FortiSandbox SaaS et le contrôle des applications. Le filtrage d'URL et de DNS exige l'ensemble UTP ; l'ensemble Enterprise inclut le tout.
- **Sophos** inclut une licence de base avec le matériel : réseau, VPN d'accès distant illimité, VPN entre sites et rapports. L'ensemble Xstream Protection ajoute la protection réseau (IPS), la protection Web, la protection contre les menaces inédites, l'orchestration centrale et la protection DNS, offerte seulement dans l'ensemble.
- **WatchGuard** propose quatre niveaux. Standard Support couvre le pare-feu, le VPN et le SD-WAN ; Basic Security Suite ajoute l'IPS, l'antivirus de passerelle et le filtrage WebBlocker ; Prime ajoute APT Blocker et DNSWatch ; Total ajoute ThreatSync XDR et EDR Core.
- **Ubiquiti** ne demande aucune licence pour l'IPS et le filtrage de contenu de base. L'abonnement CyberSecure, facultatif, enrichit les signatures (Proofpoint) et le filtrage (Cloudflare).

Le conseil pratique : comparez le coût total sur cinq ans, renouvellements compris. Une soumission ne devrait jamais montrer seulement le prix de la première année. Notre guide sur le [budget de cybersécurité d'une PME](https://cybercaribou.com/blogue/budget-cybersecurite-pme) aide à situer cette dépense parmi les autres.

## Gestion et journaux : qui regarde ce qui se passe ?

Un pare-feu que personne ne consulte protège moins qu'on le croit. Les quatre fabricants offrent une console infonuagique, avec des conditions différentes.

FortiGate Cloud offre un palier de base gratuit, limité à sept jours de journaux et à un rapport par défaut ; l'abonnement Standard ajoute la gestion, l'analyse et un an de journaux, et exige un contrat FortiCare Premium. Chez Sophos, la gestion infonuagique est incluse sans frais avec les ensembles de protection. WatchGuard inclut la gestion centralisée dans WatchGuard Cloud dès Standard Support. Ubiquiti décrit Site Manager comme un tableau de bord sans licence pour tous les sites UniFi.

Ces journaux sont souvent la première source pour reconstituer une [attaque par rançongiciel](https://cybercaribou.com/blogue/rancongiciel-pme-anatomie-attaque). Vérifiez combien de temps ils sont conservés, et qui reçoit les alertes.

## Le VPN d'accès distant, le point le plus sensible

Les passerelles VPN et les interfaces d'administration exposées sur Internet sont des cibles de choix. L'avis conjoint de la CISA et de ses partenaires, dont le Centre canadien pour la cybersécurité, sur les vulnérabilités les plus exploitées en 2023 cite des failles de produits de plusieurs fabricants de pare-feu et de VPN. Aucun n'en est à l'abri : ce qui compte, c'est la vitesse à laquelle vous appliquez les correctifs.

Un changement récent mérite l'attention des clients Fortinet : depuis FortiOS 7.6.3, le mode tunnel du VPN SSL est retiré, et les modèles dotés de 2 Go de mémoire vive ou moins ne prennent plus en charge le VPN SSL du tout. Fortinet recommande de migrer vers un VPN IPsec avant la mise à jour. Si vos employés se connectent par VPN SSL, planifiez cette migration avec votre fournisseur TI.

Quel que soit le fabricant, exigez l'authentification multifacteur sur le VPN, désactivez l'administration depuis Internet et suivez une [politique de gestion des correctifs](https://cybercaribou.com/blogue/politique-gestion-correctifs-pme) qui prévoit les urgences.

## Comment choisir

Posez-vous ces questions dans l'ordre :

1. **Qui va l'administrer ?** Si votre fournisseur TI maîtrise déjà une marque, ce facteur pèse plus lourd que n'importe quelle fonction. Un pare-feu mal configuré ne vaut pas mieux qu'un routeur ordinaire.
2. **Combien de sites ?** Au-delà d'un bureau, le SD-WAN et la gestion centralisée deviennent importants. Les quatre en offrent, à des niveaux de licence différents.
3. **Quel écosystème avez-vous déjà ?** Postes protégés par Sophos, Wi-Fi UniFi ou bornes Fortinet : l'intégration simplifie la gestion.
4. **Quelles protections exigez-vous ?** Si le filtrage Web et le bac à sable sont essentiels, vérifiez qu'ils figurent bien dans l'ensemble soumis.
5. **Quel budget sur cinq ans ?** Matériel, abonnements, soutien et heures d'administration.

En résumé, UniFi convient aux petits bureaux aux besoins simples, FortiGate aux réseaux multisites qui veulent un écosystème complet, Sophos aux entreprises déjà équipées chez ce fabricant, et WatchGuard aux PME qui veulent une formule tout compris lisible.

Vous avez déjà un pare-feu ? Notre [audit de cybersécurité](https://cybercaribou.com/services/audit-cybersecurite) vérifie notamment sa configuration : règles trop permissives, ports d'administration exposés, micrologiciel en retard et VPN sans authentification multifacteur.

## FAQ

**Le routeur fourni par mon fournisseur Internet ne suffit-il pas ?**
Il bloque les connexions entrantes non sollicitées, mais il n'offre généralement ni prévention d'intrusion, ni filtrage Web, ni VPN d'accès distant bien géré, ni journaux exploitables après un incident. Pour une PME qui a un réseau de bureau, des employés en télétravail ou des renseignements personnels à protéger, un pare-feu d'affaires administré reste la norme.

**Que se passe-t-il si on ne renouvelle pas l'abonnement de sécurité ?**
Chez Fortinet, Sophos et WatchGuard, les protections vendues par abonnement, comme les signatures d'intrusion, le filtrage Web et le bac à sable, dépendent d'une licence active. Chez Sophos, le soutien conditionne aussi l'accès aux mises à jour du micrologiciel. Un pare-feu sans abonnement continue de filtrer selon ses règles, mais protège de moins en moins. Demandez au revendeur le prix de renouvellement dès la soumission.

**À quelle vitesse faut-il appliquer les mises à jour du pare-feu ?**
Le plus vite possible quand l'avis touche le VPN ou l'interface d'administration. Un avis conjoint de la CISA et du Centre canadien pour la cybersécurité classe des failles de pare-feu et de passerelles VPN de plusieurs fabricants parmi les vulnérabilités les plus exploitées. Prévoyez une fenêtre de maintenance mensuelle et une procédure d'urgence.

**Un pare-feu est-il encore utile si tout est dans le nuage ?**
Oui, mais son rôle change. Il protège le réseau du bureau, le Wi-Fi des invités, les imprimantes et les appareils qu'on ne peut pas protéger autrement, et il filtre la navigation. La protection des comptes infonuagiques, elle, repose surtout sur l'authentification multifacteur et l'accès conditionnel.

## Sources

- [Fortinet : pare-feu FortiGate d'entrée de gamme et ensembles FortiGuard](https://www.fortinet.com/products/next-generation-firewall/entry-level)
- [Fortinet : services d'abonnement FortiGuard](https://www.fortinet.com/support/support-services/fortiguard-security-subscriptions)
- [Fortinet Docs : niveaux d'abonnement FortiGate Cloud (guide d'administration 26.1)](https://docs.fortinet.com/document/fortigate-cloud/26.1.0/administration-guide/568218)
- [Fortinet Docs : Secure SD-WAN configurable sans licence distincte](https://docs.fortinet.com/document/fortigate/7.0.0/sd-wan-architecture-for-enterprise/86084)
- [Fortinet Community : changements au VPN SSL à partir de FortiOS 7.6.3](https://community.fortinet.com/fortigate-3/technical-tip-changes-on-ssl-vpn-modes-starting-from-v7-6-3-204117)
- [Sophos : Sophos Firewall](https://www.sophos.com/en-us/products/next-gen-firewall)
- [Sophos : licences et achat de Sophos Firewall](https://www.sophos.com/en-us/products/next-gen-firewall/how-to-buy)
- [Sophos : gestion infonuagique de Sophos Firewall](https://www.sophos.com/en-gb/products/next-gen-firewall/ecosystem-central)
- [Sophos : modèles de bureau XGS de 2e génération](https://www.sophos.com/en-us/products/next-gen-firewall/xgs-smb-branch-office-firewalls)
- [WatchGuard : services de sécurité Firebox](https://www.watchguard.com/wgrd-products/security-services)
- [WatchGuard : nouvelle génération de Firebox de table (5 août 2025)](https://www.watchguard.com/de/wgrd-news/press-releases/next-gen-firebox-tabletop-series-watchguard)
- [Ubiquiti : passerelles UniFi Cloud Gateway](https://ui.com/cloud-gateways)
- [Ubiquiti : boutique canadienne, Cloud Gateway Ultra et CyberSecure](https://ca.store.ui.com/ca/en/category/cloud-gateways-compact/products/ucg-ultra)
- [Ubiquiti : architecture infonuagique UniFi et Site Manager](https://help.ui.com/hc/en-us/articles/30319146145175-Understanding-UniFi-Cloud-Architecture)
- [CISA et partenaires (dont le Centre canadien pour la cybersécurité) : vulnérabilités les plus exploitées en 2023 (AA24-317A)](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-317a)